[Résolu] Infection FilesBunker

[darwed]

Bonjour,

vous devez connaitre ce probleme, certains mots sont verts et doublement soulignés

dans les pages lues sur mon navigateur (firefox last maj)

et je constate un fort ralentissement du pc (PB easynote TJ75, MS win7).

j'espere que vous pourrez m'aider à me debarrasser de cette infection.

 

j'ai essayé 2/3 trucs mais rien n'est trouvé.

merci d'avance du coup de main

Da

 

le rapport ZHP qui va bien

http://cjoint.com/?0CqpqopV2l5

celui de adwcleaner

http://cjoint.com/?0CqpLe0g7zm

celui de MBAM

http://cjoint.com/?0CqpNwr1p4G

Modifié le 30 mars 2014 par darwed

[tomtom95]

Bonjour darwed,

• Vous allez faire un diagnostic de votre ordinateur.
• Télécharger ZHPDiag sur votre bureau :
• Laissez-vous guider lors de l'installation.
• Ouvrez ZHPDiag Sur Windows Vista / 7 / 8 (clique-droit > exécuter en tant qu'administrateur
• Cliquez sur Configurer.
  
  
  
  Cliquez sur le petit Tournevis >>
  Puis cliquez sur TOUS
• cliquez sur Rechercher
  patientez le temps du scan.
• Hébergez le rapport ZHPDiag.txt présent sur votre bureau sur le site http://www.cjoint.com
  Appuyez sur Parcourir et chercher les rapports sur le bureau
• Cliquez sur Ouvrir
• Cliquez sur Créer le lien CJoint,
  Puis copier/coller le lien fourni dans votre prochaine réponse.

 

[darwed]

Merci de cette rapidité !!!

 

le voici :

http://cjoint.com/?0CqrMsjhWmJ

[tomtom95]

Désinstalle via Panneau de configuration -> Désinstaller un programme (si présents) :
Programme P2P source d'infection multiple µTorrent
Les risques du peer-to-peer
Plus les Cracks & Keygens présent sur votre ordinateur
Le danger des cracks !
C:\Users\Darwed\Downloads\cod\Reason 5 + Keys & Keygen\Reason 5 + Keys & Keygen\Keygen.zip
C:\Users\Darwed\Downloads\cod\Reason 5 + Keys & Keygen\Torrent downloaded from Demonoid.com.txt

Après:

• Télécharger TDSSKiller de Kaspersky et l'enregistrer sur le Bureau
  Désactivez vos protections: antivirus, ... Ferme toutes les applications en cours (notamment votre navigateur)
• Double-cliquer sur TDSSKiller.exe pour lancer l'outil
  Sur Windows Vista / 7 / 8 (clique-droit > exécuter en tant qu'administrateur
• Cliquer sur Change parameters
• Cocher la case Loaded modules. Le message Reboot is required s'affiche.
  Il faut le valider en cliquant sur Reboot now.
  
  Le système redémarre. Au redémarrage, valider la demande Voulez-vous exécuter ce fichier (Editeur Kasperky.Labs).
  L'outil TDSSKiller se relance.
• Cliquer de nouveau sur Change parameters.
• Cocher dans Additionnal options, les cases Verify file digital signatures et Detect TDLFS file system.
  Valider par OK
• Cliquer sur Start scan pour lancer l'analyse. Laisser travailler l'outil sans l'interrompre.
  Laisser l'outil finir son analyse.
  Si l'outil n'a trouvé aucun élément, l'écran No threats found s'affiche.
  
  Si l'outil a trouvé des éléments suspects ou malicieux, laisser les options indiquées par l'outil pour l'action à effectuer
  Si TDSS.tdl2 est détecté, l'option par défaut est delete
  Si TDSS.tdl3 est détecté, l'option par défaut est Cure
  Si TDSS.tdl4 (mbr) est détecté, l'option par défaut est Cure
  Si Suspicious object est indiqué, l'option par défaut est Skip
• Cliquer ensuite sur Continue, puis cliquer sur Reboot computer.
  Au redémarrage, un rapport TDSSKiller.Version_Date_Heure_log.txt est enregistré sous C:
• Héberge le rapport TDSSKiller sur le site http://www.cjoint.com
  puis copie/colle le lien fourni dans ta prochaine réponse.
  
  Vous pouvez suivre ce Tutoriel TDSSKiller en image Merci Chantal11

Ensuite:

• Télécharge Junkware Removal Tool par Thisisu sur le bureau
• Pour XP, double-clique sur l'icône JRT
• Pour Vista/7/8, clique droit sur l'icône JRT exécuter en tant qu'administrateur.
  Une fenêtre va s'ouvrir, appuie sur une touche pour continuer...
  
  
• Clique sur Oui pour créer une sauvegarde du registre avec Erunt.
  Note : Le bureau disparaitra un instant, c'est normal.
  Le scanne va ce lancer.
  
  Au message The scan completed successfully
  Attendre l'affichage du rapport il sera enregistré sur le bureau
• Héberge le rapport sur le site http://www.cjoint.com
  puis copie/colle le lien fourni dans ta prochaine réponse.
  importante
  Ne pas relancer l'outil une seconde fois sinon le rapport sera écrasé par un nouveau

• Télécharges Adwcleaner (de Xplode) sur ton Bureau
  Désactivez vos protections: antivirus, ... Ferme toutes les applications en cours (notamment ton navigateur)
  Fais clique droit dessus, exécuter en tant qu'administrateur sous Windows : 7/8 et Vista
  Cliquez sur oui pour Accepter la licence
  
• Choisir l'option Scanner
• Choisir l'option Nettoyer
• Acceptez l'avertissement en cliquant sur OK
• Hébergez le contenu du rapport qui apparaît au redémarrage du PC
  sur le site http://www.cjoint.com
  Puis copie/colle le lien fourni dans votre prochaine réponse.

Sont attendus les rapports:

TDSSKiller

JRT

Adwcleaner

 

A+

 

 

[darwed]

tres bien, tdss n'a rien detecté, je poste et je continue:

 

http://cjoint.com/?0CqvYwPApFH

 

le rapport JRT :

 

http://cjoint.com/?0Cqwcbn8zmk

 

et enfin celui de ADW :

http://cjoint.com/?0CqwszucMmv

 

donc on n'a rien trouvé, c'est ça ?

Modifié le 16 mars 2014 par darwed

[tomtom95]

re,

Pour continuer

• Ferme toutes les applications en cours (notamment ton navigateur)
  Désactive tes protections (Antivirus et par-feu)
• Cliquez sur l'icône ZHPFix,présent sur votre Bureau
  pour vista/W7/W8 clique-droit > exécuter en tant qu'administrateur
• Surlignez le texte ci-dessous puis cliquez droit Copier
  
  

  Script ZHPFix
  C:\Users\Darwed\AppData\Roaming\Mozilla\Firefox\Profiles\h7eexzv5.default\extensions\{EF522540-89F5-46b9-B6FE-1829E2B572C6}
  C:\Users\Darwed\AppData\Roaming\Mozilla\Firefox\Profiles\qpl26zgb.default\extensions\foxyproxy@eric.h.jung
  C:\Users\Darwed\AppData\Roaming\Mozilla\Firefox\Profiles\qpl26zgb.default\extensions\thepiratebay@mafiaafire.com
  C:\Program Files (x86)\GS Supporter
  C:\ProgramData\InstallMate
  C:\Users\Darwed\Downloads\cacaoweb.exe
  C:\Users\Darwed\Downloads\cod\Reason 5 + Keys & Keygen\Reason 5 + Keys & Keygen\Keygen.zip
  C:\Users\Darwed\Downloads\cod\Reason 5 + Keys & Keygen\Torrent downloaded from Demonoid.com.txt
  M3 - MFPP: Plugins - [Darwed] -- C:\Users\Darwed\AppData\Roaming\Mozilla\Firefox\Profiles\qpl26zgb.default\searchplugins\privitize.xml
  M2 - MFEP: prefs.js [Darwed - qpl26zgb.default\foxyproxy@eric.h.jung] [] FoxyProxy Basic v3.2.4 (..) => Infection Web (Hijacker.Proxy)
  M2 - MFEP: prefs.js [Darwed - h7eexzv5.default\{EF522540-89F5-46b9-B6FE-1829E2B572C6}] [] SearchPreview v4.3 (..)
  O4 - GS\QuickLaunch [Darwed]: Waterfox.lnk . (...) -- C:\Program Files (x86)\Waterfox\waterfox.exe (.not file.)
  O20 - AppInit_DLLs: . (...) - C:\Program Files (x86)\GSSUPP~1\ASSIST~2.dll (.not file.)
  O23 - Service: GS Supporter (e9f32388) . (...) - C:\Program Files (x86)\gssupp~1\AssistantSvc.dll (.not file.)
  O39 - APT:Automatic Planified Task - C:\Windows\Tasks\WS.Booster-S-667284051.job [434]
  O42 - Logiciel: GS Supporter 1.80 - (.Certified Publisher.) [HKLM][64Bits] -- {5F189DF5-2D05-472B-9091-84D9848AE48B}{e9f32388}
  O43 - CFD: 14/03/2014 - 12:25:18 - [4,015] ----D C:\Program Files (x86)\GS Supporter
  O43 - CFD: 11/03/2014 - 00:10:44 - [1,722] ----D C:\ProgramData\InstallMate
  O53 - SMSR:HKLM\...\startupreg\cacaoweb [Key] . (...) -- C:\Users\Darwed\AppData\Roaming\cacaoweb\cacaoweb.exe (.not file.)
  O53 - SMSR:HKLM\...\startupreg\IP Network [Key] . (...) -- C:\Program Files (x86)\InstallPedia\lnetworker.exe (.not file.)
  [MD5.00000000000000000000000000000000] [APT] [WS.Booster-S-667284051] (...) -- c:\programdata\hostit\ws.booster\WS.Booster.exe (.not file.) [0]
  [MD5.00000000000000000000000000000000] [APT] [{4F4C15E6-261A-46A6-888A-92AAF9B1EA1C}] (...) -- E:\Razor1911_Installer.exe (.not file.) [0]
  [MD5.00000000000000000000000000000000] [APT] [{5FDA05C6-157F-4B3F-AA3C-BF6BC03A7A88}] (...) -- C:\Users\Darwed\Desktop\essai Bonhomme Setup.exe (.not file.) [0]
  [MD5.00000000000000000000000000000000] [APT] [{707DF1F2-B0CD-45C2-9A8D-25959B8412D3}] (...) -- C:\Program Files (x86)\Driver Mender\Driver Mender\ISUninstall.exe (.not file.) [0]
  [MD5.00000000000000000000000000000000] [APT] [{757E5874-674E-496F-995F-A8A4C9F497A7}] (...) -- C:\Program Files (x86)\SYNCRO~1\UNWISE.exe (.not file.) [0]
  [MD5.00000000000000000000000000000000] [APT] [{96C3B570-51DE-42E7-8ADF-63E2F95367DF}] (...) -- C:\Users\Darwed\Downloads\all_MediaPlayer.exe (.not file.) [0]
  [MD5.00000000000000000000000000000000] [APT] [{973CB02D-24BA-4E31-81D2-32DE539A93E2}] (...) -- C:\Users\Darwed\Desktop\crisis\Crysis Warhead [MULTi10][PCDVD][www.zonatorrent.com]\EAD 4.0.0.462 release prod Installer.exe (.not file.) [0]
  [MD5.00000000000000000000000000000000] [APT] [{9B31596D-1E01-4947-A9A2-1FA4B2E0959F}] (...) -- C:\Program Files (x86)\2Kgames\Borderlands\play-Borderlands.exe (.not file.) [0]
  [MD5.00000000000000000000000000000000] [APT] [{FE98616C-43FA-4AAF-B553-F4C3F40BEE8C}] (...) -- C:\Users\Darwed\Desktop\crisis\Crysis Warhead [MULTi10][PCDVD][www.zonatorrent.com]\setup.exe (.not file.) [0]
  [HKLM\Software\Wow6432Node\WS.Booster]
  [HKLM\SYSTEM\CurrentControlSet\Services\e9f32388]
  [HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{5F189DF5-2D05-472B-9091-84D9848AE48B}{e9f32388}]
  [HKLM\Software\Microsoft\Shared Tools\MSConfig\startupreg\cacaoweb] => Infection PUP (PUP.CacaoWeb)
  [HKLM\Software\Microsoft\Shared Tools\MSConfig\startupreg\IP Network]
  
  ShortcutFix
  EmptyPrefetch
  EmptyCLSID
  FirewallRaz
  EmptyTemp
  EmptyFlash
  Sysrestore

• Dans l'interface de ZHPFix Cliquez sur Importer et sur OK
  
  
  
  Attention :vérifiez que que toutes les lignes se sont collées
• Puis Cliquez sur "GO"
• Confirmez les nettoyages des données en cliquant sur "Oui"
  
  Le nettoyage s'effectue, ne touchez à rien pendant cette étape, si le programme demande un redémarrage du pc > faites le !
• Une fois le scan terminé le fichier ZHPFixReport à été crée sur le bureau.
• Hébergez le rapport ZHPFixReport sur le site http://www.cjoint.com
  puis copier/coller le lien fourni dans votre prochaine réponse.

 

 

• Télécharger sur le bureau pas ailleur SFTGC.exe de pierre 13
• Si l'antivirus fait des siennes: désactive-le provisoirement.
  Si tu ne sais pas comment faire, reporte-toi à cet article.
• Sous XP, double cliquer sur le fichier.
• Sous Vista, Win 7 et Win 8, Faire un clic droit sur le fichier et choisir exécuter en tant qu'administrateur
  
• Pour lancer le nettoyage, il suffit de cliquer sur Go.
• A la fin du nettoyage, un rapport va s'ouvrir.
• Ce rapport est enregistré sur le bureau (SFTGC.txt)
  Ce rapport étant trop long pour le forum, héberge le :
• Sur Cjoint.com[/url] et copie-colle le lien fourni dans ta réponse

 

• Télécharger Malwarebytes Anti-Rootkit sur votre Bureau.
  
  Lance l'outil MBAR.exe clique-droit > exécuter en tant qu'administrateur
• Cliquez sur oui pour lancer l'installation
  Puis sur NEXT
  Faire la mise à jour de la base virale avec un clique sur UPDATE
  
  Lorsque la mise à jour est fini >> sur NEXT
  Vérifier que les éléments à analyser Drivers (Pilotes), Sectors (Secteurs), et System (Système)
  sont cocher puis cliquer sur le bouton Scan (Analyser).
  Patientez le temps de la recherche
  
  Le scanne terminé
  Assurez vous que tout soit bien coché
• Cliquez sur le bouton Cleanup(Nettoyage)
  pour supprimer toutes les menaces et redémarrez si vous êtes invité à le faire.
  Attendez que le système s'arrête et que le processus de nettoyage soit effectué.
  
  Relancez une analyse avec Malwarebytes Anti-Rootkit pour vérifier qu'il ne reste aucune menace .
  S'il en restait, cliquez sur Cleanup (Nettoyage) une fois de plus et répétez le processus.
  S'il n'y a pas d'autres menaces trouvées,
• Hébergez le rapport mbar-log-AAAA-MM-JJ (hh-mn-ss).txt sur le site http://www.cjoint.com
  Appuyez sur Parcourir et chercher les rapports qui se trouvent dans le dossier mbar.
• Cliquez sur Ouvrir
• Cliquez sur Créer le lien CJoint,
  Puis copier/coller le lien fourni dans votre prochaine réponse.

 

• vous allez refaire un diagnostic de votre ordinateur avec ZHPDiag.
• Ouvrez ZHPDiag Sous Windows Vista / 7 / 8 (clique-droit > exécuter en tant qu'administrateur
• Cliquez sur Configurer.
  
  
  Clique sur le petit tournevis
  Puis clique sur TOUS
• cliquez sur Rechercher
  patientez le temps du scan.
• Héberge le rapport ZHPDiag.txt présent sur ton bureau sur le site http://www.cjoint.com
  Appuyez sur Parcourir et chercher les rapports sur le bureau
• Cliquez sur Ouvrir
• Cliquez sur Créer le lien CJoint,
  Puis copie/colle le lien fourni dans ta prochaine réponse.

 

 

 

Modifié le 16 mars 2014 par tomtom95

[darwed]

voila le rapport ZHP-Fix : http://cjoint.com/?0Crc0GlqwYs

 

celui de SFTGC: http://cjoint.com/?0Crc4mh9KPN

 

malwarebyte se fait attendre desesperement... et ne trouve rien !

donc pas de rapport

 

rerapport de zhp : http://cjoint.com/?0CrdC0IoaPk

parcontre il m'a fait le scan avant que je puisse cliquer sur le tourne vis

donc le rapport date juste d'avant le "tournevis"

ensuite quand j'ai cliqué tous au "tournevis", il a dit "traitement terminé avec succès", enfin je crois (il est tard)

 

 

ce matin, j'observe que les symptomes sont toujours presents...

Modifié le 17 mars 2014 par darwed

[darwed]

je reste en attente...

[tomtom95]

Bonjour,

Le scanne avec Malwarebytes Anti-Rootkit , c'est fait jusqu'au bout et n'a rien trouvé c'est bien ça ??

• Ferme toutes les applications en cours (notamment ton navigateur)
  Désactive tes protections (Antivirus et par-feu)
• Cliquez sur l'icône ZHPFix,présent sur votre Bureau
  pour vista/W7/W8 clique-droit > exécuter en tant qu'administrateur
• Surlignez le texte ci-dessous puis cliquez droit Copier
  
  

  Script ZHPFix
  C:\Users\Darwed\AppData\Roaming\ZHP\Quarantine\keygen.zip.VIR
  M3 - MFPP: Plugins - [Darwed] -- C:\Users\Darwed\AppData\Roaming\Mozilla\Firefox\Profiles\h7eexzv5.default\searchplugins\kartoocom.xml
  M3 - MFPP: Plugins - [Darwed] -- C:\Users\Darwed\AppData\Roaming\Mozilla\Firefox\Profiles\h7eexzv5.default\searchplugins\searchalot.xml
  M3 - MFPP: Plugins - [Darwed] -- C:\Users\Darwed\AppData\Roaming\Mozilla\Firefox\Profiles\h7eexzv5.default\searchplugins\torrentbox.xml
  M3 - MFPP: Plugins - [Darwed] -- C:\Users\Darwed\AppData\Roaming\Mozilla\Firefox\Profiles\qpl26zgb.default\searchplugins\qwant.xml
  M2 - MFEP: prefs.js [Darwed - qpl26zgb.default\jngfgx.43a@eamhooiaieeaai.org] [] webSaaVE v3.7 (..)
  O43 - CFD: 26/11/2013 - 16:28:33 - [46,295] ----D C:\Program Files (x86)\Hit Malware
  O43 - CFD: 11/03/2014 - 00:10:45 - [0,005] ----D C:\ProgramData\HostIt
  O43 - CFD: 19/07/2012 - 10:44:13 - [0,001] ----D C:\Users\Darwed\AppData\Roaming\xsecva
  O49 - CSB:Control Safe Boot HKLM\...\CCS\Minimal\98781074.sys . (...) -- C:\Windows\System32\Drivers\98781074.sys (.not file.)
  O49 - CSB:Control Safe Boot HKLM\...\CCS\Network\98781074.sys . (...) -- C:\Windows\System32\Drivers\98781074.sys (.not file.)
  [MD5.EA1D67445C3925B64FFB362EC8D3829D] [sPRF][04/06/2010] (...) -- C:\Users\Darwed\AppData\Roaming\wklnhst.dat [186]
  
  ShortcutFix
  EmptyCLSID
  FirewallRaz
  EmptyTemp
  EmptyFlash
  Sysrestore

• Dans l'interface de ZHPFix Cliquez sur Importer et sur OK
  
  
  
  Attention :vérifiez que que toutes les lignes se sont collées
• Puis Cliquez sur "GO"
• Confirmez les nettoyages des données en cliquant sur "Oui"
  
  Le nettoyage s'effectue, ne touchez à rien pendant cette étape, si le programme demande un redémarrage du pc > faites le !
• Une fois le scan terminé le fichier ZHPFixReport à été crée sur le bureau.
• Hébergez le rapport ZHPFixReport sur le site http://www.cjoint.com
  puis copier/coller le lien fourni dans votre prochaine réponse.

Téléchargez aswMBR.exe sur votre Bureau
Désactivez vos protections: antivirus, ... Ferme toutes les applications en cours (notamment ton navigateur)

Double-cliquez sur aswMBR.exe présent sur votre bureau
Sur Windows Vista / 7 / 8 (clique-droit > exécuter en tant qu'administrateur
Le programme propose de télécharger les définitions virales
Cliquez sur oui (yes).


Cliquez ensuite sur le bouton "Scan"


Le scanne terminné


Clique sur save log. Enregistre le rapport sur ton bureau.
Héberge le rapport sur le site http://www.cjoint.com
Puis copie/colle le lien fourni dans ta prochaine réponse.


Si des fichiers malicieux sont détectés.il seront en rouge
Pour terminer, cliquez sur le bouton "Fix" si il n'est pas grisé en cas d'infection
Le bouton Fix MBR permet de réparer le MBR dans le cas où celui-ci a été infecté.
Le bouton Save log permet d'enregistre le rapport.

Un fichier MBR.dat est aussi créé et peux être scanné sur http://www.virustotal.com en cas de doute.

A+

[darwed]

ok merci, je continue un peu avant d'aller me coucher

 

rapport ZHPfix ici

http://cjoint.com/?0CselIxvwtG

 

rapport aswMBR ici

http://cjoint.com/?0CsenQO9dcw

 

rien n'etait rouge dans aswMBR, donc a la fin je n'ai pas procédé au MBR fix qui semblait dangereux a faire

le test du MBR.dat s'est neamoins deroulé sans probleme sur virustotal.com ou rien n'a été détecté.

 

cela dit, il "semble" que les symptomes ont disparu... apparence trompeuse ou eradication ??

Modifié le 18 mars 2014 par darwed